KNX/EIB Sicherheit von KNX im Vergleich zu ZigBee usw.

[Ikarisan]

Hallo!

Ich soll für ein Projekt eine Art Risikoanalyse schreiben. Und zwar geht es um einen Vergleich der Home Automation Protokolle KNX/PL, ZigBee und Digitalstrom bezüglich der Sicherheit. Mit Sicherheit sind so Sachen wie Verfügbarkeit, Integrität, Vertraulichkeit, Authenzität gemeint.

Zu ZigBee habe ich ganz viele Sachen gefunden inkl. Anleitungen zum Hacken und Schwachstellenanalysen. Aber zu KNX irgendwie nichts aussagekräftiges und zu Digitalstrom garnix. Sieht man einmal von Marketinggeblubbel ab.

Bei KNX wird ja wohl alles völlig unverschlüsselt übertragen, oder? Und bei KNX über Powerline? Ist da dieses Homeplug Powerline mit gemeint? Sind solche Sachen wie EIBSec noch aktuell? Hab dazu nur etwas von 2006 gefunden.

Ich stehe momentan ziemlich auf dem Schlauch

Gruß
Thorsten

[Mario Kaminski]

Hey Thorsten,

Ich versuche dir mal meine Erfahrungen und mein Wissen mitzuteilen.

Also KNX ist ein sehr langsamer Bus mit nur 9600bit/s. Aufgrund der langsamen Geschwindigkeit ist KNX ein sehr zuverlässiges Bussystem. Das Buskabel kann man so gut wie überall herlegen bis auf FU´s, da sollte man schon einen gewissen Abstand einhalten.

Sicher ist der KNX Bus auf alle Fälle. Habe schon mehrere Alarmanlagen und Sicherheitstechnisch relevante Lösungen damit programmiert die einwandfrei funktionieren. Jedes Telegramm was geschickt wird ist mit einem kleinen Code versehen, sodass nur der Teilnehmer der darauf programmiert ist es auch entschlüsseln kann. Nachdem der Teilnehmer es verarbeitet hat sendet er auch ein ACK zurück, sodass die Fehlerrate auf dem Bus selber sehr niedrig ist. Es geht kein Telegramm verloren.

´Zur Integrität kann ich dir sagen das man das System sehr gut Integrieren kann dank seiner vielfältigen Übertragungswege und Installationsarten. Man hat entweder die möglichkeit über TP oder PL oder Funk (wobei ich grundsätzlich wenn es eben geht immer TP nehmen würde). Dann hat man die Wahl zwischen eine Zentralen oder Dezentralen oder gemischten Installation. Sprich die Aktorik entweder in den Raum zu verlegen um nicht so viele Leitungen in die Verteilung ziehen zu müssen (Dezentral). Oder alles was man Steuern will in die Verteilung ziehen und die Aktoren dort rein zu bauen (Zentral). Oder man macht es gemischt jenachdem wie es gerade passt.

Es ist auch super das man alle Hersteller die KNX Produkte herstellen miteinander kombinieren kann, das heißt man hat eine riesige Produktpalette an der man sich bedienen kann.

Ich hoffe das hilft dir erstmal weiter. Vielleicht bekommst du ja nochmehr antworten und brauchst dann nur Copy und Paste machen. :-)

Mfg Mario Kaminski

[Klaus Gütter]

Einspruch!

Jedes Telegramm was geschickt wird ist mit einem kleinen Code versehen, sodass nur der Teilnehmer der darauf programmiert ist es auch entschlüsseln kann.

Nein, da ist gar nichts verschlüsselt.

Nachdem der Teilnehmer es verarbeitet hat sendet er auch ein ACK zurück, sodass die Fehlerrate auf dem Bus selber sehr niedrig ist.

Auch falsch. Das ACK ist auf LinkLayer-Ebene, bestätigt also nur die erfolgreiche Übertragung, nicht die erfolgreiche Verarbeitung.

Gruß, Klaus

[Filo]

Sicher ist der KNX Bus auf alle Fälle. Habe schon mehrere Alarmanlagen und Sicherheitstechnisch relevante Lösungen damit programmiert die einwandfrei funktionieren.

Einspruch!
Sicher in Bezug auf was? Auf die Übertragung und die Verarbeitung des Telegramms? Sicherlich nicht in Bezug auf die Sicherheit, im Sinne von Verschlüsselung, Abhörsicherheit und Hackingmethoden.

Schon gar nicht für Sicherheitsanlagen wie Intrusion und Brand. Nebst Sabotagesicherung fehlen da auch Redundanzen. Nur weil die einwandfrei funktionieren, heisst das noch lange nicht, dass diese tatsächlich im Falle von Sabotage, Ausfällen oder anderweitigen Angriffen sicher sind.

Sobald ich physikalischen Zugriff auf den Bus habe, kann ich doch schon sehr viel machen, und wenn ich noch auf der richtigen Linie bin, dann eigentlich alles.

Zu Digitalstrom wirst du auch nix finden, da die Produkte brandneu auf dem Markt sind.

Somit stellt sich für mich die Frage nach den Prioritäten bezüglich den von dir erwähnten Punkten. Für Abhörsicherheit hat KNX eigentlich nix zu bieten, ausser der physikalischen Trennung mittels Linien. Verschlüsselung, wäre mir nicht bekannt.
Bezüglich Verfügbarkeit ist KNX da sicher am besten dran. Bezüglich Vertraulichkeit (Im Sinne was auf dem Kabel für Telegramme rumgeistern) hat da KNX nix zu bieten, da ist ZigBee mit einer Verschlüsselung sicherlich besser dran.

[ets3-user]

Wenn man sich nur mal kurz an den Bus anschließt, ohne die Projektdatei zu haben, ist aber auch der Bus relativ sicher, da man ja nur irgendwelche GA´s sieht ohne die jetzt zuordnen zu können.
Man könnte natürlich den Bus mit willkürlichen Telegrammen fluten und ihn so lahmlegen oder hoffen das irgendwann die Tür aufgeht...

Grüße Christian

[Axel]

wobei sicherheitstechnische Einrichtungen schon einen "Schutz" bieten. Den scharf/unscharf beispielsweise von Alarmanlagen werden nur von "vorher" definierten physikalischen Adressen zugelassen. Da bringt es nichts wenn ein Laptop mit xy Adresse die Unscharfmeldung auf den Bus sendet, da die Alarmanlage das nicht animmt. Im übrigen bei einer VDS Alarmanlage eh nicht zugelassen über einen Bus darauf Einfluss zu nehmen.

Auch Melder und Sensoren welche als wichtig erachtet werden, sind per Programmierung zyklisch überwacht. Fällt ein Teilnehmer oder Bus aus, gehen bestimmte Aktoren in die Sicherheitsposition. Zu sehen oft bei Wetterstation mit Wind- und Regenüberwachung, oder Temperaturerfassung.

Um das KNX Netzwerk vor unberechtigten zu schützen, wird es oftmals in verschiedene Linien eingeteilt. Simples Beispiel ist die eigene Außenbereichslinie.

EIBSec habe ich in der Praxis noch nie aufgefunden und auch in den KNX Dokumentationen steht dazu, nix.

Man könnte natürlich den Bus mit willkürlichen Telegrammen fluten und ihn so lahmlegen oder hoffen das irgendwann die Tür aufgeht...

Diesbezüglich natürlich dann auch zwangsläufig Alarm auslösen, wenn Fenster plötzlich offen sind. :-)

[dreamy1]

Hmm, kann man die Technologien überhaupt miteinander vergleichen?

KNX/PL: letztendlich ein kabelgebundenes System, bei vernünftiger Abkopplung am Zähler von außen nicht zugänglich (außer vielleicht bei zugänglichen Außensteckdosen, da gibts aber sicher auch Maßnahmen dafür)

Zigbee: FUNK. Und das bedeutet, jeder mit ein bisschen Technikverständnis und entsprechenden Freeware-Tools kann mithören und evtl. auch Schalthandlungen etc. damit ausführen. Oder durch einen starken Störsender das System komplett lahmlegen.

Ich kenne KNX/PL leider nicht in der Praxis, allerdings habe ich etliche "Bienen" für allerlei unnütze Dinge bei mir zuhause...damit würde ich aber nie eine Hausautomatisierung aufbauen.

[makki]

4x Einspruch
(bitte für den Unterschied Sicherheit vs Security Wikipedia bemühen, ich verwende im folgenden diese Worte bewusst so)

- KNX/PL: gibts eigentlich nur noch zwei Hersteller, gefühlt verwendet es wohl fast keiner. Lahm (1,2 kbit), Rest siehe:

- KNX/TP (oder IP): Security: völlige Fehlanzeige. Nicht vorgesehen. (oder nur sehr diletantisch und meist nicht ansatzweise umgesetzt)
Sicherheit, solange kein physikalischer Zugriff besteht (Übertragung usw):
-> Gut (aus der Sicht verfügbarer Alternativen)
-> Mittel/ausreichend (aus Netzwerkersicht, wo man seit mind 30J weiss, wie es - in richtig - besser ginge)
Aber: real, funktionierend verfügbar

- Zigbee ist eine propretäre Suppe, Sicherheit (insgesamt): naja Funk, das wird jeder mit gesundem Menschenverstand selbst einzuordnen wissen..
Security = Security by obscurity. Das Herstellerkonsortium glaubt daran, sonst keiner. Kerckhoffs hats vor gut 100J aufgeschrieben - und der ist schon ganz lang tot , das wurde über die Jahre aber nicht besser, das "security by obscurity" halt nicht funktioniert.. Die security in Zigbee ist zwar angedacht aber ganz einfach bullsh***
Die Lösung - in Richtig - wäre 6LowWPAN aber da gibts (noch?) nix "fertiges" (Falls Interesse: Contiki)
Aber VHS hat auch gegen Betamax gewonnen, obwohl es das schlechtere war

- dS: wo gibts das noch gleich zu kaufen?
machst Du eine Studie über leere Pressemeldungen von träumern oder verfügbare Produkte?
Sorry
Security auf dem Medium is da aber auch 0,0. selbst wenn es das real gäbe..

- bitte, "sicherheitstechnische Einrichtungen" wie EMA etc:
Sorry, alle mir bekannten basieren bestenfalls auf "security by obscurity" (s.o. bitte den Kerckhoffs-Artikel lesen) und haben intern ein brotdummes bisserl ASCII-Protokoll.
Das finde ich noch viel schlimmer wie KNX - ist wenigstens ehrlich - security gibts nicht. Schade, ist aber so & ehrlich gesagt.
Da wird einem security suggeriert, wo in wirklichkeit garkeine ist, da bekomme ich nen Hals!
Wenn man die VdS-Zulassung braucht: Ok.. Für die Versicherung und fürs gewissen. Die Versicherung glaubts, der Hersteller auch, aber sonst jemand der sich damit auskennt ?
Ansonsten würde ich fast jede Eigenkonstruktion für effizienter halten als diese tollen EMA's


Fazit, falls es um eine ernsthafte Arbeit geht und kein grünes für EIB/KNX erlaubt ist (=praktische Lösung), würde ich dringend am Stichwort 6lowpan weitermachen.

fragen? Fragen!

Makki

[salixer]

Den scharf/unscharf beispielsweise von Alarmanlagen werden nur von "vorher" definierten physikalischen Adressen zugelassen. Da bringt es nichts wenn ein Laptop mit xy Adresse die Unscharfmeldung auf den Bus sendet, da die Alarmanlage das nicht animmt.

Die Absenderadresse kann sich aber auch jeder so setzen, wie er will.

[Basti]

Die Absenderadresse kann sich aber auch jeder so setzen, wie er will.

Ja, schon, aber ohne Projektdatei ist das schon ein bisschen willenloses Raten
Und da bei Einbrüchen im privaten Bereich die Zeit die ausschlaggebende Rolle spielt ist es wohl eher als "geringerer Unsicherheitsfaktor" einzustufen. Wenn natürlich dein Eli bei dir einbrechen will hat er es da schon deutlich leichter

[JaKop]

Hallo,
ich denke, dass wir das Pferd nicht von hinten aufzäumen sollen und die im Originalpost erwähnte "Risikoanalyse" auch als solche aufgebaut und strukturiert werden sollte.

Die Aspekte eines Risikos sind

• Risk (Worin besteht das Risiko?)
• Likelyhood (wie wahrscheinlich ist der Eintritt dieses Risikos?)
• Severity (Wie schlimm sind die Auswirkungen, wenn es eintritt?)
• Prevention (wie kann ich die Wahrscheinlichkeit eines Eintritts reduzieren?)
• Mitigation (wie kann ich die Auswirkungen reduzieren, wenn es eintritt?
• Recovery (Wie erhole ich mich vom Impact, nachdem es eingetreten ist?)

Aus diesen Punkten ermittelt sich dann das Gesamt-Risiko und damit der Bedarf an Sicherheit, v.a. eine Gewichtung der verschiedenen Aspekte (Verfügbarkeit, Betriebssichereit, Integrität, ...)
DAs wäre dann eine Grundlage um Kriterien zu definieren aufgrund derer die doch recht verschiedenen Systeme verglichen werden können. ... und es lässt sich in einer Projektarbeit als schöne, bunte Tabellen darstellen, das gibt immer Extrapunkte.

Ansonsten springen hier bei den "Buzz-Word" Sicherheit gleich die "SIL3", AES mit mind. 1024bit, ... Glocken an.

Vielleicht kannst Du die Projektarbeit (oder zumindest Teile der Ergebnisse) auch hier veröffentlichen.

Gruss
Jan

[Shoko]

Ja, schon, aber ohne Projektdatei ist das schon ein bisschen willenloses Raten
Und da bei Einbrüchen im privaten Bereich die Zeit die ausschlaggebende Rolle spielt ist es wohl eher als "geringerer Unsicherheitsfaktor" einzustufen. Wenn natürlich dein Eli bei dir einbrechen will hat er es da schon deutlich leichter

Einspruch!
Es geht hier um eine Arbeit über die Sicherheit von KNX. Und da ist die physikalische Absenderadresse als Sicherheitsmerkmal völlig ungeeignet. Das mag für den Angreifer lästig sein, aber nichts was er nicht mit einfachen Mitteln überwinden kann.

Das ist vergleichbar mit dem MAC-Adressfilter Snakeoil bei W-Lan Accesspoints - hört sich toll an, sollte aber IMO verboten werden. Die Anwender die sich nicht genauer damit beschäftigen schalten diesen Filter ein und denken "Toll - jetzt bin ich sicher, da brauch ich diese lästige Verschlüsselung nicht mehr" -> Und schon ist das W-Lan offen wie ein Scheunentor.

[Basti]

Das ist vergleichbar mit dem MAC-Adressfilter Snakeoil bei W-Lan Accesspoints - hört sich toll an, sollte aber IMO verboten werden. Die Anwender die sich nicht genauer damit beschäftigen schalten diesen Filter ein und denken "Toll - jetzt bin ich sicher, da brauch ich diese lästige Verschlüsselung nicht mehr" -> Und schon ist das W-Lan offen wie ein Scheunentor.

Sorry, aber genau hier widerspreche ich dir. MAC-Adressfilterung im W-Lan ist nochmal deutlich unsicherer, da es eben Kabellos mit einer gewissen Reichweite ist. Da kann sich jeder gemütlich ins Auto, die Wohnung nebendran,... setzen und hat alle Zeit der Welt. Darum sind im W-Lan auch brute-force Attacken durchaus simpel auszuführen.
Bei KNX brauch ich erst mal physischen Zugriff auf den Bus, weswegen Zeit eine deutlich wichtigere Rolle spielt!

Grundsätzlich hast du natürlich recht, aber in der Realität ist die Warscheinlichkeit des Eintretens so gering, dass das Risiko deutlich minimiert wird.

[Filo]

Jetzt ist der Thread-eröffner mal gefordert. Wir stürzen uns hier alle auf das Thema Sicherheit im Sinne von "Wie schnell kann was gehackt werden".
Ob das auch Sinne der Risikoanalyse ist, ist nicht zu eruieren.
Unter anderem fragt er auch nach Verfügbarkeit.
Das wiederum kann man verstehen als:
- Wie stabil läuft KNX
- Verfügbarkeit von Know-How und Geräten (Wenn mal was ist, wie schnell kan repariert werden)

Die Frage stellt sich also nach dem Ziel der Risikoanalyse und den Bedürfnissen des Kunden. Solange die nicht bekannt ist, kann auch nichts konkretes gesagt werden.

[Filo]

- bitte, "sicherheitstechnische Einrichtungen" wie EMA etc:
Sorry, alle mir bekannten basieren bestenfalls auf "security by obscurity" (s.o. bitte den Kerckhoffs-Artikel lesen) und haben intern ein brotdummes bisserl ASCII-Protokoll.
Ansonsten würde ich fast jede Eigenkonstruktion für effizienter halten als diese tollen EMA's

Wird zwar jetzt total OT:
Wenn ich Zugriff auf die EMA habe, mag es dann sein, dass es einfach ist, die EMA unscharf zu schalten.

Da hatt aber schon der Beginn der Kette versagt! Fernschaltung auf ne EMA ist sowieso nicht erlaubt, das Ding wäre so nicht VdS. Dass es die meisten aber dann sowieso machen, ist eine andere Geschichte.

Aber über konzeptionelle Fehler, hilft das beste und sicherste Protokoll nicht.

Somit ist bei einer EMA Anlage, die auch keinen Zugriff von aussen hat, nicht relevant wie "dumm" das Protokoll ist, sondern darum, wie gut Einbruch dedektiert werden kann (Eine EMA hat nicht die Aufgabe, den Einbruch zu verhindern, sondern zuverlässig zu detektieren).
Und da ist dann die Spezialität der Sensorik und deren Überlistung gefragt.

Somit sind dann auch ganz andere Anforderungen an die Sensorik und Sabotagesicherheit gefragt. Dabei irgendwelche 0-8-15 Komponenten einsetzen zu wollen, die nicht mal die Standardanforderungen an die Sensorik haben (Maskierung, Unterkriechschutz, Täuschungsgrössen ausfiltern, Manipulation, Sabotage....), ist dann in meinen Augen ebenso fraglich.